Cảnh báo bảo mật

Cảnh báo: Các gói PHP Laravel-Lang bị tấn công chuỗi cung ứng để phát tán mã độc

Một chiến dịch tấn công chuỗi cung ứng nghiêm trọng vừa được phát hiện nhắm vào hệ sinh thái PHP Laravel-Lang. Tin tặc đã chiếm quyền điều khiển quy trình phát hành để tự động chèn mã độc đánh cắp thông tin (Credential Stealer) vào hàng trăm phiên bản gói phần mềm phổ biến.

Cơ chế tấn công tinh vi

Không giống như các cuộc tấn công thông thường sửa đổi mã nguồn trực tiếp, tin tặc trong chiến dịch này đã ghi đè lại mọi Git Tag hiện có trong kho lưu trữ để trỏ đến các commit độc hại mới. Mã độc được nhúng trực tiếp vào tệp src/helpers.php.

Các gói bị ảnh hưởng:

laravel-lang/lang
laravel-lang/http-statuses
laravel-lang/attributes
laravel-lang/actions

Quy mô tác động: Hơn 700 phiên bản đã bị sửa đổi trái phép chỉ trong vòng vài giây, cho thấy sự can thiệp từ hạ tầng tự động hóa của tổ chức bị chiếm quyền.

Mã độc đánh cắp thông tin đa nền tảng

Mã độc được thiết kế để chạy ngay lập tức khi ứng dụng PHP khởi chạy thông qua cơ chế autoload.files của Composer. Nó có khả năng thu thập dữ liệu nhạy cảm trên cả Windows, Linux và macOS, bao gồm:

Dữ liệu Đám mây & Hạ tầng: AWS IAM roles, Azure access tokens, Google Cloud credentials, Kubernetes tokens, HashiCorp Vault.

Thông tin cá nhân: Ví tiền điện tử (MetaMask, Ledger), mật khẩu trình duyệt (Chrome, Edge, Firefox), SSH keys và các tệp cấu hình .env.

Hành động khẩn cấp cho doanh nghiệp

Kiểm tra ngay lập tức: Rà soát các dự án sử dụng Laravel-Lang và kiểm tra sự tồn tại của tệp src/helpers.php có chứa mã độc.
Cập nhật an toàn: Sử dụng các phiên bản đã được xác thực sạch hoặc tạm thời loại bỏ các gói bị ảnh hưởng cho đến khi có thông báo mới.
Thay đổi thông tin xác thực: Nếu phát hiện dấu hiệu lây nhiễm, hãy lập tức thu hồi toàn bộ Access Key, Secret Key và mật khẩu hệ thống.
Giám sát hạ tầng: Kiểm tra các kết nối mạng bất thường đến máy chủ điều khiển flipboxstudio[.]info.

Nguồn tham khảo: The Hacker News, Socket Research, Aikido Security

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS